Acordo de tratamento de dados e suboperadores

01 — Objeto e papéis

Este acordo integra os Termos de Serviço de todo cliente e disciplina o tratamento de dados pessoais que o Tave realiza EM NOME da agência. Ele é escrito na linguagem da LGPD (Lei 13.709/2018); quando o seu programa de conformidade também precisar de termos do GDPR europeu, a equivalência está indicada entre parênteses.

VOCÊ (a agência) é o CONTROLADOR (art. 5º, VI — equivalente ao controller do GDPR) dos dados pessoais que você e os seus clientes colocam no Tave. As decisões sobre finalidade e meios são suas.

NÓS somos o OPERADOR (art. 5º, VII — processor), e tratamos esses dados exclusivamente conforme as suas instruções documentadas (art. 39). Suas instruções documentadas são: os Termos de Serviço, este acordo, e as ações que você e o seu time executam dentro do produto. Não há instrução verbal.

Se recebermos uma instrução sua que, no nosso entendimento, viole a LGPD, avisamos você por escrito antes de executá-la.

Para os dados da sua própria conta — cadastro do time, credenciais, cobrança, registros de acesso — nós somos o controlador, e quem rege é a Política de Privacidade, não este acordo.

02 — Objeto, natureza, finalidade e duração do tratamento

OBJETO E FINALIDADE. Prestar o serviço contratado: guardar, organizar, exibir, transmitir e fazer cópia de segurança dos dados do seu workspace, enviar as comunicações que o produto envia em seu nome e produzir e conservar a evidência das assinaturas eletrônicas.

NATUREZA DAS OPERAÇÕES. Coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, comunicação, transferência e extração — na forma do art. 5º, X, e sempre limitadas ao necessário para as finalidades acima.

CATEGORIAS DE TITULARES. Os membros do seu time; os contatos dos seus clientes; e pessoas que apareçam no conteúdo que você armazena.

CATEGORIAS DE DADOS. Nome, e-mail, cargo e dados de contato profissional; conteúdo de propostas, documentos e arquivos; valores e condições comerciais; evidência de assinatura (nome digitado, e-mail, data e hora, IP, identificador do navegador, texto do consentimento, hashes); e o registro de eventos que grava quem fez o quê e quando.

DADOS SENSÍVEIS. O serviço não requer dados pessoais sensíveis (art. 11) e não foi construído para eles. Não os coloque no produto.

DURAÇÃO. Enquanto a organização existir, mais os 30 dias de carência após o encerramento, ressalvado o que a seção 12 e a lei mandarem conservar por mais tempo.

03 — Confidencialidade

Toda pessoa autorizada a tratar dados pessoais em nosso nome está obrigada à confidencialidade, por contrato ou por dever legal, e essa obrigação sobrevive ao fim do vínculo.

O acesso é concedido pelo princípio do menor privilégio e apenas quando necessário para operar, dar suporte ou apurar um incidente. Acesso a dados de cliente para fins de suporte só ocorre a pedido seu ou quando indispensável para restabelecer o serviço, e fica registrado.

Não divulgamos dados pessoais a terceiros fora das hipóteses deste acordo, do art. 10, § 1º, do Marco Civil da Internet (ordem judicial para registros de acesso) e de determinação legal a que estejamos obrigados. Havendo pedido de autoridade, comunicamos você antes de atender, sempre que a lei permitir, para que você possa reagir.

04 — Medidas de segurança (art. 46)

As medidas abaixo estão implementadas e cobertas por testes automatizados hoje. Não listamos aqui nada que ainda não exista.

CRIPTOGRAFIA E CREDENCIAIS. TLS obrigatório em trânsito, com HSTS em produção. Senhas com hash argon2id. Tokens de sessão, de link de acesso e de assinatura com 32 bytes de entropia, guardados apenas como hash SHA-256 — o banco não contém credencial recuperável.

ISOLAMENTO ENTRE CLIENTES. O identificador da organização é injetado na cláusula WHERE de toda consulta, e todo identificador de relacionamento fornecido por quem chama é verificado contra a organização antes de qualquer escrita. Consultas sem escopo são erro de lint. Há testes com duas organizações intercaladas provando que leitura cruzada não retorna nada e escrita cruzada falha.

INTEGRIDADE DO HISTÓRICO. O registro de eventos é append-only em duas camadas independentes: o papel de banco da aplicação não tem UPDATE nem DELETE na tabela, e um gatilho recusa a operação até para o dono do banco. Evidência de assinatura (identidade do signatário, selo, hashes) é protegida por gatilhos de escrita única, para qualquer usuário do banco.

SUPERFÍCIE HTTP. Política de segurança de conteúdo estrita com nonce por requisição; conjunto completo de cabeçalhos de segurança em toda resposta; corpo de requisição limitado a 1 MB antes do roteamento; limites de tentativa em todos os pontos públicos de autenticação e de link.

REGISTRO E OBSERVABILIDADE. Log estruturado com redação automática de dados pessoais — corpos de mensagem, respostas, imagens de assinatura, tokens e senhas nunca são gravados. Expurgo diário de tokens e sessões mortos.

CÓPIAS DE SEGURANÇA. A partir do primeiro deploy de produção: as cópias de segurança do banco na própria plataforma, mais uma cópia noturna guardada fora dela, com restauração ensaiada antes da entrada de dados reais de cliente.

O QUE AINDA NÃO TEMOS. Não temos certificação ISO 27001 nem relatório SOC 2, e não vamos sugerir que temos. Não há autenticação em dois fatores para usuários da agência nesta fase. Se o seu processo de compras exigir esses itens, fale com a gente antes de contratar.

05 — Suboperadores (art. 39)

Você autoriza, de forma geral, a contratação dos suboperadores listados na tabela abaixo, que tratam dados pessoais em nosso nome sob contrato escrito com obrigações não menos protetivas que as deste acordo.

A lista nomeia quem trata dados hoje, com uma exceção nomeada: a Anthropic, provedora das funções de assistência por IA do produto, que estão construídas mas desligadas. Ela entra na lista antes da ativação para que esta tabela nunca fique atrás do produto, e não trata nada até as funções serem ligadas. Provedores previstos para funções que ainda não existem no produto — merchant of record para cobrança, monitoramento de erros — não estão nela e não tratam nada.

AVISO PRÉVIO. Comunicamos por e-mail aos donos da organização, com pelo menos 30 (trinta) dias de antecedência, a inclusão ou substituição de qualquer suboperador. Você pode se opor por motivo razoável de proteção de dados dentro desse prazo; não havendo solução, você pode encerrar o plano sem multa e com devolução proporcional do valor já pago e não usado.

Respondemos perante você pelos atos dos nossos suboperadores como se fossem nossos.

06 — Transferência internacional (art. 33)

O tratamento ocorre fora do Brasil: a aplicação, o banco de dados e os arquivos ficam na Railway, em região dos Estados Unidos e/ou da União Europeia, e o e-mail transacional é enviado pela Resend, nos Estados Unidos. As regiões constam da tabela da seção 05.

BASES. Art. 33, IX, combinado com o art. 7º, V — a transferência é necessária para a execução do contrato; e art. 33, II, "b" — cláusulas-padrão contratuais no modelo aprovado pela Resolução CD/ANPD nº 19/2024, firmadas com cada suboperador. Para clientes sujeitos ao GDPR, os mesmos fluxos são cobertos pelas cláusulas contratuais-tipo da Comissão Europeia constantes dos contratos dos fornecedores.

Nenhum dado de cliente entra em um suboperador antes de o instrumento de transferência com ele estar assinado.

A lei brasileira continua aplicável ao tratamento, ainda que os dados estejam armazenados no exterior (art. 3º da LGPD; art. 11 do Marco Civil da Internet).

07 — Assistência ao controlador

DIREITOS DOS TITULARES (art. 18). O produto já dá a você acesso, correção, exportação e eliminação dos dados do seu workspace — na maioria dos casos você atende o titular sozinho, sem depender de nós. Quando não for suficiente, ajudamos: respondemos ao seu pedido de assistência em até 5 (cinco) dias úteis, para que você cumpra o prazo do art. 19 perante o titular.

Se um titular procurar a NÓS diretamente sobre dados em que você é o controlador, não decidimos nada: encaminhamos o pedido a você e informamos ao titular que encaminhamos.

RELATÓRIO DE IMPACTO (art. 38) e consultas da ANPD: fornecemos as informações que tivermos sobre a arquitetura, as medidas de segurança e os fluxos de dados, na medida em que sejam necessárias e não exponham segredo de negócio ou a segurança de outros clientes.

REGISTRO DAS OPERAÇÕES (art. 37). Mantemos registro das operações de tratamento que realizamos, e o disponibilizamos a você quando necessário para o seu próprio registro ou para atender a ANPD.

08 — Incidentes de segurança (art. 48)

Comunicamos você SEM DEMORA INJUSTIFICADA ao confirmar incidente de segurança que envolva dados pessoais sob a sua controladoria, e em nenhuma hipótese depois de 48 (quarenta e oito) horas da confirmação — prazo escolhido para caber dentro dos 3 (três) dias úteis que a Resolução CD/ANPD nº 15/2024 dá a VOCÊ para comunicar a ANPD.

A comunicação trará, no que estiver disponível no momento: a natureza dos dados afetados, as categorias e o número aproximado de titulares, as medidas técnicas e de segurança que protegiam os dados, os riscos envolvidos, o que já fizemos e o que recomendamos que você faça. Informação parcial é enviada de imediato e completada depois — não seguramos o aviso à espera de um relatório perfeito.

A comunicação à ANPD e aos titulares, nesse caso, é dever seu como controlador. Nós damos apoio técnico e informação.

Quando o incidente atingir dados em que NÓS somos o controlador, a comunicação à ANPD é nossa, no prazo de 3 dias úteis da mesma resolução.

Não exigimos confidencialidade sua sobre o incidente e não condicionamos o aviso a nada.

09 — Auditoria e demonstração de conformidade

Disponibilizamos a você as informações necessárias para demonstrar o cumprimento deste acordo: a descrição das medidas de segurança, a lista de suboperadores com regiões, os relatórios internos de revisão de segurança na parte que não exponha outros clientes, e respostas a questionário de segurança.

AUDITORIA. Você pode auditar, uma vez por período de 12 meses, mediante aviso de 30 dias, em horário comercial, sob confidencialidade, e sem acesso a dados de outros clientes nem a ambiente compartilhado de produção. Auditoria adicional cabe quando houver incidente confirmado que afete os seus dados ou determinação de autoridade. Custos razoáveis de auditoria são seus, salvo se a auditoria apontar descumprimento material nosso.

Não temos, nesta fase, certificação ISO 27001 nem relatório SOC 2 para oferecer no lugar de uma auditoria. Quando tivermos, eles substituirão a auditoria presencial e este texto dirá isso.

10 — Responsabilidade (arts. 42 a 45)

A LGPD atribui responsabilidade ao operador quando ele descumprir a legislação ou não seguir as instruções lícitas do controlador (art. 42, § 1º, I). É nessa medida que respondemos.

Entre nós, cada parte responde pelos danos que causar: você, pelas decisões que toma como controlador — inclusive a base legal, a informação aos titulares e o que decide colocar no produto; nós, pelo tratamento que realizamos em desacordo com a lei ou com as suas instruções.

Se uma de nós for demandada e pagar por dano que a outra causou, cabe o direito de regresso na proporção da participação no evento (art. 42, § 4º).

Os limites de responsabilidade dos Termos de Serviço não se aplicam a violação de dados pessoais causada por nós, e não afastam responsabilidade que a LGPD ou o Código de Defesa do Consumidor não permitam limitar.

11 — Os seus deveres como controlador dos dados dos seus clientes

Esta seção existe porque um operador não pode consertar o que o controlador deixou de fazer, e porque a agência é quem responde perante os clientes dela.

BASE LEGAL. Cabe a você ter uma base legal do art. 7º para cada dado que coloca no Tave sobre os seus clientes, e sustentá-la.

TRANSPARÊNCIA. Cabe a você informar aos seus clientes que trata os dados deles, para quê, e que utiliza um operador — o Tave — com infraestrutura fora do Brasil, incluindo a transferência internacional descrita na seção 06. A sua própria política de privacidade precisa dizer isso.

DIREITOS DOS TITULARES. É você quem recebe e responde os pedidos dos seus clientes. Nós ajudamos, conforme a seção 07.

QUALIDADE E MINIMIZAÇÃO. Mantenha a lista de contatos correta, revogue acesso de quem saiu e não coloque no produto mais dado do que a relação exige (arts. 6º, III e V).

DADOS SENSÍVEIS E DE MENORES. Não os coloque no produto. Se colocar, a responsabilidade por base legal, medidas adicionais e consequências é sua.

SEGURANÇA DO SEU LADO. Cabe a você usar os papéis de acesso do produto, escolher senhas fortes e controlar quem do seu time entra. O link de portal enviado ao seu cliente é uma credencial ao portador: quem controlar aquela caixa de entrada age como aquele contato. Você conhece esse desenho e decide o que envia por lá.

ENCARREGADO. Se você estiver obrigado a indicar um encarregado (art. 41), é obrigação sua, não nossa.

12 — Eliminação e devolução ao término

Ao término da relação, você escolhe entre a devolução e a eliminação dos dados pessoais. O padrão, se você não escolher, é: exportação disponibilizada, 30 (trinta) dias de carência, eliminação definitiva.

A eliminação alcança os registros do banco de dados e os arquivos armazenados. As cópias de segurança que ainda contiverem o dado saem de circulação conforme o ciclo de rotação; enquanto existirem, permanecem sob as mesmas medidas de segurança e não são usadas para nada além de restauração.

RESSALVA LEGÍTIMA (art. 16). Conservamos, além da carência: os dados cuja guarda a lei exigir — em especial os registros de acesso à aplicação, por 6 meses (art. 15 do Marco Civil da Internet), e documentos fiscais; e a evidência de documentos assinados, cuja conservação se sustenta no exercício regular de direitos (art. 7º, VI, e art. 16, II). A eliminação de evidência de assinatura passa por verificação de retenção legal antes de acontecer — um contrato assinado não é registro descartável, e o prazo de guarda dele pode ser maior que o da conta.

Dizemos a você, por escrito, o que foi eliminado e o que foi conservado, com a base e o prazo.

13 — Vigência, alterações e cópia assinada

Este acordo vigora enquanto tratarmos dados pessoais em seu nome e sobrevive ao término dos Termos de Serviço no que for necessário — confidencialidade, eliminação e responsabilidade.

Alteração material segue o mesmo rito dos Termos: aviso por e-mail com pelo menos 30 (trinta) dias de antecedência.

ESTA PÁGINA É O ACORDO VIGENTE. Se o seu processo de conformidade exigir via assinada, ou se você precisar entrar na lista de notificação de mudança de suboperador, escreva para privacy@usetave.com — assinamos uma via pelo próprio Tave.

Este acordo é celebrado entre a sua organização, na condição de controladora, e o Tave, com sede em Balneário Camboriú, SC, Brasil, na condição de operador. Ele é aceito junto com os Termos de Serviço e não depende de assinatura separada para valer.

14 — Idioma e lei aplicável

Este acordo é regido pela lei brasileira, em especial a Lei 13.709/2018 (LGPD) e a Lei 12.965/2014 (Marco Civil da Internet), e segue o foro eleito nos Termos de Serviço, seção 16.

A versão em português é a que vale; a versão em inglês é tradução de cortesia. Em caso de divergência, prevalece o texto em português.

Contato do encarregado pelo tratamento de dados pessoais: privacy@usetave.com.